Bijlage 1. Managementletter 2025 gemeente Heemskerk

8 DECEMBER 2025

MANAGEMENT LETTER 2025

Gemeente Heemskerk

BDO Audit & Assurance B.V., Krijgsman 9/Postbus 71730, 1186 DM Amstelveen, www.bdo.nl

Aan: het college van B&W van Gemeente Heemskerk Maerten van Heemskerckplein 1 1964 EZ HEEMSKERK

Amstelveen, 8 december 2025 Kenmerk: JvS/JT/LB/AA252081

Geacht college, In het kader van de aan ons verstrekte opdracht tot controle van de jaarrekening 2025 van Gemeente Heemskerk brengen wij met deze management letter verslag uit over onze bevindingen naar aanleiding van onze interimcontrole. Voor een nadere omschrijving van onze opdracht, de reikwijdte en aanpak van onze controle en overige afspraken verwijzen wij naar de opdrachtbevestiging 2025. Deze management letter bevat onze belangrijkste bevindingen ten aanzien van de processen binnen de Gemeente Heemskerk en de daarin opgenomen beheersingssystemen. Wij hebben deze bevindingen en aanbevelingen afgestemd met de gemeentesecretaris en de wethouder op 4 december. In deze rapportage richten wij ons met name op mogelijke verbeterpunten in de bedrijfsvoering en de processen die wij hebben onderzocht in het kader van de controle van de jaarrekening. Dit heeft tot doel een bijdrage te leveren aan de interne beheersing en het zelfcontrolerend vermogen van uw organisatie. Tijdens onze bezoeken aan de Gemeente komen wij ook in aanraking met andere ontwikkelingen van uw organisatie en bedrijfsvoering. We bespreken graag een aantal van die andere ontwikkelingen met u. In deze management letter besteden we daarom ook aandacht aan ontwikkelingen op andere gebieden dan de processen. Het vervolg van onze werkzaamheden voor de controle van de jaarrekening staat gepland in maart 2026.

Ten opzichte van voorgaand jaar is de documentatie bij aanvang van de interim-controle gereed en we zien ook dat er een stap voorwaarts is gemaakt in de kwaliteit van deze stukken. Bij deze willen wij alle betrokken medewerkers van de Heemskerk bedanken voor de constructieve en plezierige samenwerking tijdens de controle. Wij hopen u met dit verslag van dienst te zijn. Vanzelfsprekend zijn wij graag bereid om een nadere toelichting op de inhoud te geven. Hoogachtend, BDO Audit & Assurance B.V. namens deze,

J.F.A. van Schaik MSc RA Partner en extern accountant gemeente Heemskerk

3

MANAGEMENT LETTER 2025 – GEMEENTE HEEMSKERK

Inhoudsopgave

01

02

03

Dashboard interim-controle

Ontwikkelingen en aandachtspunten

Observaties en bevindingen interim-controle

4

MANAGEMENT LETTER 2025 - GEMEENTE Heemskerk

1. Dashboard interimcontrole

1.1 Dashboard interimcontrole

X

5

MANAGEMENT LETTER 2025 - GEMEENTE HEEMSKERK

UW INTERNE BEHEERSING 

Op basis van onze observaties concluderen wij dat de interne beheersing en controleomgeving van voldoende niveau is.



Voor een organisatie met de omvang van de gemeente Heemskerk is onze norm dat de processen in opzet, bestaan en werking (inclusief IT) goed werken en getoetst worden door VIC. In opzet voldoet de gemeente Heemskerk aan deze norm.



IT-BEHEERSING 

Voor onze IT-audit zijn de applicaties voor de inkoop-, financiële- en zorgadministratie in scope.



In de beheersing van de general IT controls zitten enkele aandachtspunten waardoor onze controle niet op de processen maar op de individuele transacties (gegevensgericht) wordt uitgevoerd.



Wat betreft cybersecurity zijn maatregelen getroffen maar cybersecurity is zodanig in ontwikkeling dat het blijvende aandacht nodig heeft.

Wij kunnen niet altijd steunen op de interne beheersing in de processen, omdat de interne controle nog niet altijd effectief is ingeregeld in de processen. De VIC en onze controle is daarmee hoofdzakelijk gegevensgericht en achteraf.

ONTWIKKELINGEN

INTERNE BEHEERSING EN VIC 











Kosten voor de jeugdzorg nemen toe. Verantwoordingsverplichtingen worden door de consortia evenals in 2024 niet nageleefd. Hierdoor krijg de gemeente moeilijk grip op de uitgaven

Wijzigingen verantwoordingsgrens en materialiteit in verordeningen ligt in december 2025 ter besluitvorming bij de raad. De VIC heeft deze wijzigingen meegenomen in de overweging tot uitvoering van haar werkzaamheden.

ONZE BEVINDINGEN (HOOFDSTUK 3)

ONZE BEVINDINGEN BIJ DE PROCESSEN A1

Planning & Control: procesbeschrijvingen uitschrijven als uitgangspunt beheersing proces.

A2

Planning & control: Ontbreken van koppeling tussen het financieel systeem (ERPx) en Rapportagetool (LIAS).



VIC is juist gepositioneerd in de organisatie en ingericht volgens het three-lines-of-defence model.

A3

Planning & control: er is geen tussentijdse monitoring op de afloop van tussenrekeningen.



In 2025 heeft de VIC een frauderespons plan gemaakt dat door het MT is goedgekeurd. Daarnaast heeft de VIC verder gewerkt aan de frauderisicoanalyse. Het plan is om de bevindingen hiervan te verwerken in het VIC rapport.

A4

Inkoop & betaling: er is geen afdwingbare preventieve controle op gewijzigde crediteurenstamgegevens

A5

Inkoop & betaling: naleving van beleid en zichtbaar maken van controle op prestatielevering

Meer aandacht voor bedrijfsvoering en processen nodig voor een duurzaam goede dienstverlening aan burgers. Investeringen in IT en meer datagedreven werken zijn hiervoor succesfactoren.

A6

Inkoop & betaling: Periodieke review betaalbevoegdheden Rabobank

A7

Inkoop & aanbesteding: naleving van verwerking van contracten in het contractenregister.

NIS2 – digitale weerbaarheid verankerd in wet- en regelgeving van de EU. Alle gemeenten zijn aangemerkt als “zeer kritieke organisatie”.

A8

Sociaal domein: beleid nader uitwerken voor controle op prestatielevering niet lumpsum-vergoedingen jeugdzorg en wmo hulp bij huishouden.

A9

Sociaal domein (WMO & Jeugdzorg): inrichten 4ogenprincipe in het systeem bij wijziging crediteurenstamgegevens.

De grondexploitatie Stationsomgeving is in september 2025 geopend met een geraamd verlies van € 2.354.000 Krapte op de arbeidsmarkt vraagt om aandacht voor strategische personeelsplanning. De Gemeente Heemskerk investeert in het aantrekken van nieuw talent.

6

MANAGEMENT LETTER 2025 - GEMEENTE HEEMSKERK

2. Ontwikkelingen en aandachtspunten

2.1 Ontwikkelingen 2.2 Ontwikkelingen BBV en BADO 2.3 Infomatiebeveiliging

7

MANAGEMENT LETTER 2025 - GEMEENTE HEEMSKERK

2.1 Ontwikkelingen Doorontwikkeling van de bedrijfsvoering Gemeenten in heel Nederland staan voor toenemende uitdagingen in hun bedrijfsvoering. De regeldruk blijft stijgen, net als de complexiteit van wet- en regelgeving, onder andere op het gebied van cybersecurity. Tegelijkertijd is de arbeidsmarkt krap, waardoor het invullen van alle gemeentelijke taken steeds lastiger wordt. De kern van de gemeentelijke taak blijft het leveren van goede dienstverlening aan de burger. Om dit duurzaam te kunnen blijven doen, is een solide en toekomstbestendige bedrijfsvoering onmisbaar. Goed ingerichte processen vormen de basis voor kwaliteit en continuïteit in de uitvoering van beleid en dienstverlening. Dit vraagt van gemeenten toenemend middelen te investeringen om de IT op niveau te houden. We zien dat de organisatie gericht hiermee aan het werk is en stappen vooruit zet. Datagedreven werken door middel van dashboarding en het gebruiken van AI-toepassingen signaleren wij als mogelijkheden voor de gemeente om processen meer efficiënt in te richtingen. Wij bevelen aan om de organisatie blijvend de tijd en de middelen te geven om door te bouwen aan de bedrijfsvoering om de dienstverlening aan de burger duurzaam op een hoog niveau te houden.

Gewijzigde bekostigingsmethodiek jeugdzorg Met ingang van 2023 is de bekostigingsmethodiek voor de jeugdzorg gewijzigd van prijs × hoeveelheid naar een lumpsumvergoeding. Dit houdt in dat de zorgaanbieder een vast bedrag ontvangt om de zorg voor de gemeente uit te voeren, waarbij het financiële risico bij de zorgaanbieder komt te liggen. Verschillende gemeenten maken al gebruik van deze systematiek. Het verband tussen bekostiging en geleverde prestatie is echter minder nauw, waardoor monitoring lastiger kan zijn en potentiële risico's voor de interne beheersing en de jaarrekening kunnen ontstaan. Om dit risico zo veel mogelijk te beperken, heeft de gemeente afspraken gemaakt met de consortia over tussentijdse informatieverstrekking en kpi's om het verband tussen bekostiging en geleverde prestatie te monitoren. Helaas blijkt uit de praktijk dat de consortia zich niet aan deze verantwoordingsafspraken houden, waardoor het voor de gemeente niet mogelijk is om te monitoren. In 2025 zijn rapportages voor het meten van kpi’s nog niet aanwezig en zijn de rapportages nog niet van voldoende kwaliteit. De verdeling van de lumpsum is over zeven gemeenten en stamt uit 2021. Er is geen inzicht in tussentijdse veranderingen in de verdeling tussen de gemeenten.

Om de performance van de dienstverlening te beheersen, is het noodzakelijk dat de gemeente beter wordt voorzien van bestuurlijke informatie. In 2025 hebben geen ontwikkelingen plaatsgevonden rondom de naleving van de contractafspraken door de zorgaanbieders.

8

MANAGEMENT LETTER 2025 - GEMEENTE HEEMSKERK

2.1 Ontwikkelingen De tekorten op de arbeidsmarkt hebben impact op gemeente Heemskerk De arbeidsmarkt voor gemeenten zal naar verwachting komende jaren krap blijven, met aanhoudende personeelstekorten en een toenemende werkdruk tot gevolgd. Deze ontwikkelingen worden mede veroorzaakt door de vergrijzing van het personeelsbestand. Het is daarom van groot belang om in te zetten op strategische personeelsplanning, evenals op het aantrekken en behouden van talent. Daarnaast kan het uitbesteden van taken, gevolgd door een herverdeling van rollen binnen de organisatie, bijdragen aan een verlichting van de werkdruk voor het huidige personeel. De gemeente Heemskerk heeft veel aandacht voor nieuw talent en toont verschillende initiatieven om jong personeel door middel van een kweekvijver aan te trekken. De gemeente heeft hierin een voorbeeldfunctie voor andere gemeenten. Tegelijkertijd wordt ervaren dat jong personeel sneller van baan wisselt en ligt de uitdaging voor de gemeente om de medewerkers aan zich te blijven binden. De gemeente zal in 2026 een applicatie aanschaffen voor het opzetten en uitvoeren van een medewerkerstevredenheidsonderzoek. Ontwikkelingen meerjarenbegroting 2026-2029 In de meerjarenbegroting 2026-2029 presenteert de gemeente voor 2026 en 2027 een sluitende begroting. Voor de jaren 2028 en 2029 ligt er echter nog een bestuurlijke opgave om dit te realiseren.

Het verwachte tekort in deze jaren hangt samen met de zogenoemde ‘ravijnjaren’, waarin de algemene uitkering vanuit het Rijk aanzienlijk wordt verlaagd. De gemeente wacht momenteel op de besluitvorming van het nieuwe kabinet over mogelijke compensatie van dit structurele tekort. Wij adviseren om tijdig scenario’s uit te werken om de verwachte structurele tekorten in 2028 en 2029 op een verantwoorde wijze op te vangen.

Grondexploitaties – Tijdschrijven De gemeente werkt niet met een tijdschrijf module. Tijdens de procesbesprekingen met planeconoom en team financiën is naar voren gekomen dat er geen controle plaatsvindt op de juistheid en volledigheid van de uren. Daarnaast hebben de gesprekspartners aangegeven de wens niet hebben om een dergelijke module te gebruiken. Dit brengt het risico met zich mee dat projectkosten onvolledig worden toegerekend, wat kan leiden tot onjuiste financiële informatie. Door het ontbreken van een gestructureerde methodiek voor het registreren en verantwoorden van uren loopt de gemeente het risico op onvoldoende inzicht in de bestede uren per grondexploitatie. Wij adviseren om een proces voor urenregistratie in te richten. Een goed functionerend systeem voor tijdschrijven vergroot niet alleen de betrouwbaarheid van de financiële informatie, maar versterkt ook de beheersing van de voortgang van projecten. Hierdoor kan tijdig worden bijgestuurd en ontstaat een transparante verantwoording van kosten en inzet. Grondexploitaties – Stationsgebied In 2025 heeft de gemeente de grondexploitatie voor het Stationsgebied geopend voorafgaand aan het vaststellen van een bestemmingsplan dat pas in 2026 wordt opgesteld. Deze overweging is gemaakt zodat nog aanspraak gedaan kon worden op de WBI-subsidie.

Het openen van een grondexploitatie voordat een bestemmingsplan is opgesteld is risicovol. De grondexploitatie Stationsgebied is momenteel verlieslatend. Er bestaat een risico dat het bestemmingsplan, zodra vastgesteld, de financiële prognose verder verslechtert. Op de grondexploitatie is een WBI-subsidie aangevraagd. Deze WBI-subsidie heeft een maximale looptijd. Het risico bestaat dat door vertraging in het project de gemeente (ten dele) geen recht heeft op de subsidie. Wij adviseren met de subsidieverstrekker duidelijke afspraken te maken en deze periodiek te evalueren.

9

MANAGEMENT LETTER 2025 - GEMEENTE HEEMSKERK

2.1 Ontwikkelingen ERPx – inrichting processen en tussentijdse rapportages 2024 was het eerste jaar dat ERPx als financieel systeem in gebruik is genomen door de gemeentelijke organisatie. Wij zien dat team financiën achteraf nog veel tijd kwijt is aan correcties door middel van memoriaalboekingen door niet altijd de primaire registratie van transacties juist gaat. Wij adviseren om een analyse uit te voeren op de memoriaalboekingen om de bron van oorzaak hiervan te kunnen aanpakken. Vanuit onze natuurlijke adviesfunctie kunnen wij op basis van de audit-file deze analyse voor de gemeente doen en de oorzaak van de memoriaalboekingen inzichtelijk maken. Voor 2025 en verder liggen er kansen om de mogelijkheden in het pakket verder te verkennen. Datagedreven werken zorgt voor meer efficiëntie in de werkprocessen en kan bijdragen aan administratieve lastenverlichting. Dashboarding en het procesmatig inrichten van budgethouder gesprekken zijn kansen om het proces van monitoring tussentijdse financiële ontwikkelingen en bestuurlijke informatievoorziening te verbeteren. De verplichtingenadministratie helpt om verwachte begrotingsafwijkingen tijdig te signaleren en te communiceren. Alertheid op muteren van crediteurenstamgegevens Team financiën heeft in opzet het muteren van crediteurenstamgegevens ingericht met een vier-ogenprincipe.

Echter wordt in het systeem niet afgedwongen dat twee verschillende personen de wijzigingen van crediteurenstamgegevens doorvoeren. Dit betekent dat de VIC gegevensgericht achteraf moet vaststellen dat het vier-ogenprincipe adequaat is toegepast. Het muteren van crediteurenstamgegevens is een proces dat vatbaar is voor phising en zogenaamde ceo-fraude. Wij adviseren om te onderzoeken of software gericht op preventieve beheersing van rechtmatigheid van betalingen ook binnen de gemeente kan worden ingezet. Dit zou niet alleen het risico op fraude aanzienlijk verkleinen, maar ook het proces efficiënter maken doordat controles vooraf plaatsvinden in plaats van achteraf. Daarnaast kan het systeem zo worden ingericht dat het vierogenprincipe technisch wordt afgedwongen, waardoor handmatige verificatie door de VIC wordt geminimaliseerd.

Frauderisicoanalyse implementeren in interne controle De gemeente heeft in 2025 een frauderisicoanalyse opgesteld en op basis hiervan interne beheersingsmaatregelen aangemaakt in Key2Control. Wij adviseren om de bevindingen te verwerken in het VIC-rapport.

10 MANAGEMENT LETTER 2025 - GEMEENTE HEEMSKERK

2.2 Ontwikkelingen BBV en BADO

Aanpassing materialiteit naar 2% voor 2025 Vanaf boekjaar 2025 is de wettelijke controlegrens voor de accountant verhoogd van 1% naar 2%. Deze wijziging betreft tevens de samenvoeging van de controlegrens van 1% voor fouten en 3% voor onzekerheden tot een norm van 2%. De omvangsbasis is gelijk aan de totale lasten van de gemeente exclusief de toevoegingen aan de reserves. Wij adviseren u uw financiële verordening en het protocol accountantscontrole voor de accountantscontrole hierop aan te passen. Deze documenten worden met de aangepaste materialiteit in de raadsvergadering van december 2025 ter besluitvorming aangeboden. Rechtmatigheidsverantwoording Het wetgevingstraject rondom de rechtmatigheidsverantwoording is voor gemeenten afgerond op 21 maart 2025. Naar aanleiding van de afgeronde wijzigingen in het BBV wijzigt vanaf boekjaar 2025 het maximum van de door de raad vastgestelde verantwoordingen naar 2% van de lasten exclusief dotaties reserves (was 3%). Dit is gelijk aan de wettelijke materialiteit die in het kader van de jaarrekeningcontrole over 2025 door ons wordt gehanteerd. De verantwoordingsgrens geldt, in tegenstelling tot de voorgaand jaar, voor fouten en onduidelijkheden tezamen. De gewijzigde verantwoordingsgrens en eventueel de rapportagegrens worden in de raadsvergadering van december 2025 ter besluitvorming aangeboden.

Onzekerheden prestatielevering Wmo Door de wijziging van de BADO en BBV vanaf verslagjaar 2025 is voor onzekerheden geen aparte materialiteitsgrens meer, maar worden onzekerheden opgeteld bij de fouten. Landelijk is bij een aantal gemeenten sprake van omvangrijke onzekerheden bij Wmo, omdat zijzelf niet voldoende zichtbare controle op prestatielevering uitvoeren en de onzekerheden niet worden ondervangen door productieverantwoordingen en goedkeurende controleverklaring vanuit zorgaanbieders. Omvangrijke onzekerheden kunnen (in combinatie met ongecorrigeerde fouten van de jaarrekeningcontrole) de materialiteit overschrijden. Als de materialiteit wordt overschreden zal de gemeente alsnog werkzaamheden moeten uitvoeren om de onzekerheden te reduceren. Een herstelactie kan de bestuurlijke agenda en de jaarrekening(controle) beïnvloeden. De gemeente heeft diverse maatregelen getroffen waarmee zij waarborgt dat de prestatie voor deze lasten ook geleverd wordt. Gemeenten zijn primair zelf verantwoordelijk voor het vaststellen van de prestatielevering in het sociaal domein. De gemeente heeft met veel zorgaanbieders afspraken gemaakt dat zij door middel van een gecontroleerde productieverantwoording verantwoording afleggen over de prestatielevering. De omvang van de onzekerheden in het sociaal domein voor de gemeente Heemskerk is hierdoor beperkt.

Wij adviseren om voor de zorgaanbieders zonder deze afspraken risicogericht beheersingsmaatregelen te treffen om zekerheid te verkrijgen over de geleverde prestatie. De gemeente Heemskerk heeft al generieke maatregelen geïmplementeerd, zoals een klachtenregistratie en in cliënttevredenheidsonderzoeken. Wij adviseren om de uitkomsten uit deze maatregelen procesmatig op te volgen, vast te leggen en hieruit een conclusie te trekken ten aanzien van de zekerheid omtrent prestatielevering.

11 MANAGEMENT LETTER 2025 - GEMEENTE HEEMSKERK

2.2 Ontwikkelingen BBV en BADO Wet DBA Sinds 1 januari 2025 controleert de Belastingdienst actief op het bestaan van een dienstbetrekking bij zzp-constructies. Hoewel sprake is van een overgangsjaar waarin onder voorwaarden nog geen boetes worden opgelegd, kunnen opdrachtgevers wel geconfronteerd worden met een naheffing wanneer blijkt dat feitelijk sprake is van een dienstbetrekking. Kort gezegd is dat het geval wanneer sprake is van een gezagsverhouding met de opdrachtgever.

Voorziening voor pensioenaanspraken van politieke ambtsdragers Met de invoering van het nieuwe pensioenstelsel is besloten dat ook de APPApensioenaanspraken van politieke ambtsdragers in een pensioenfonds ondergebracht moeten worden per 1 januari 2028. Dat betekent dat per die datum de APPAvoorzieningen toereikend moeten zijn. Een algemeen aandachtspunt betreft het opnemen van het partnerpensioen in deze APPA-voorziening. Gemeente Heemskerk heeft de APPA-voorziening reeds inclusief het partnerpensioen berekend.

Nieuwe wetgeving Daarnaast werkt het kabinet aan nieuwe wetgeving voor de beoordeling van arbeidsrelaties. Door het opnemen van een lijst met indicaties in wet- en regelgeving zou duidelijker moeten worden wanneer iemand in dienst van een werkgever werkt. Het betreft indicaties van werknemerschap, zelfstandigheid en ondernemerschap van de persoon. Daarbij is onder andere relevant in hoeverre sprake is van structureel werk en of de werkende financiële risico’s loopt. De nieuwe wetgeving is beoogd voor 2026.

Op het moment van overdracht per 1 januari 2028 kunnen er ten gevolge van schommelingen in de rekenrente mogelijke tekorten ontstaan. Een lagere rekenrente in het laatste jaar voor de overdracht kan een aanzienlijk gevolg hebben.

Het is dan ook van belang voor de gemeente om de huidige inhuur van zelfstandigen en het inhuurproces in beeld (te brengen en) te houden. Gemeente Heemskerk heeft de opdrachten voor inhuur van personeel Europees aanbesteed bij professionele partijen en maakt gebruik van een dynamisch aankoopsysteem. Echter blijft de gemeente eindverantwoordelijk. Dit onderwerp is onder de aandacht binnen gemeente Heemskerk en men werkt aan het in kaart brengen van de (overeenkomsten met) zzp’ers om hierop te kunnen anticiperen.

Op dit moment zijn de uitkomsten voor de overdracht van de voorziening onzeker. VNG biedt gemeenten een optie om te onderzoeken wat de APPA overdracht voor hen betekent. Dit onderzoek geeft inzicht in de risico’s en scenario’s bij overdracht van de pensioenvoorziening. Bijvoorbeeld de overdrachtssom van pensioen van oud-wethouders waarvoor in de jaarrekening geen voorziening was gevormd. De risicoparagraaf of risicoreserve is voorlopig vanuit verslaggevingsperspectief de geschikt plaats voor het toelichten van de risico’s. In november 2025 wordt een uiting van het BBV verwacht over de verwerking van de voorziening voor wethouders.

12 MANAGEMENT LETTER 2025 - GEMEENTE HEEMSKERK

2.2 Ontwikkelingen BBV en BADO Notitie Overhead De commissie BBV heeft in de notitie Overhead 2023 de regelgeving met betrekking tot de toerekening van Overhead geactualiseerd, verduidelijkt en samengevoegd in één notitie. De notitie is van toepassing vanaf begroting 2025. De belangrijkste uitspraken en aanbevelingen zijn als volgt: • Stellige uitspraak: Voor de berekening van de tarieven voor de lokale heffingen moet de methodiek voor toerekening van overhead worden gebruikt zoals deze is opgenomen in de financiële verordening. Deze methodiek mag niet afwijken van de overige methodieken voor het toerekenen van overhead. • Stellige uitspraak: De definitie van overhead is aangescherpt waardoor alle functies (ook leidinggevenden) die onderdeel uitmaken van een specifieke taak geen onderdeel zijn van de overhead. • Aanbevelingen: De commissie adviseert om overhead niet bij de begroting vorm te geven maar door middel van de financiële verordening of door een notitie overhead aan de raad voor te leggen en deze periodiek te herzien. In deze nota neemt de gemeente keuzes op ten aanzien van: kaderstelling, methodiek en onderscheiding primaire processen en overhead. De gemeente Heemskerk hanteert in haar financiële verordening (vastgesteld in 2022) reeds een methodiek en definities die in lijn zijn met deze actualisatie.

Bij de eindejaarscontrole zullen wij toetsen of personeel juist is toegerekend aan de taakvelden en de methodiek voor toerekening van overhead (bijvoorbeeld aan lokale heffingen) op consistente wijze wordt berekend. Notitie Rente De belangrijkste wijziging uit de notitie rente betreft een aanpassing in de toerekening van de rentelasten aan de grondexploitaties. Met ingang van boekjaar 2025 wordt voor grondexploitaties geen onderscheid meer gemaakt in het BBV, waardoor de rentetoerekening plaatsvindt op basis van de reguliere omslagrente. In 2024 was toepassing van de omslagrente al toegestaan. Voor de Gemeente Heemskerk leidt dit niet tot een nieuwe werkwijze. De Gemeente Heemskerk rekende de rente aan de grondexploitaties al toe op basis van de omslagrente.

13 MANAGEMENT LETTER 2025 - GEMEENTE HEEMSKERK

2.3 Informatiebeveiliging Informatiebeveiliging en digitale weerbaarheid

NIS2 & Cyberbeveiligingswet De NIS2 (Network and Information Security 2) EU-richtlijn is een update van de eerdere NIS-richtlijn en is bedoeld om cyberveiligheid en cyberweerbaarheid van essentiële diensten in EU-lidstaten te verhogen. Daarmee wordt digitale weerbaarheid verder verankerd in wet- en regelgeving. Na eerder uitstel is nu de verwachting dat de NIS2-richtlijn in het tweede kwartaal van 2026 naar Nederlandse wetgeving is vertaald en nadien daadwerkelijk van kracht wordt onder de noemer ‘Cyberbeveiligingswet’. Organisaties vallen direct onder de Cyberbeveiligingswet, als zij actief zijn in aangewezen sectoren en gekenmerkt worden als ‘essentiële’ of ‘belangrijke’ entiteit. Direct wil zeggen dat bovengenoemde verplichtingen voor deze organisaties direct gaan gelden zodra de wet in werking treedt. Overheidsorganisatie vallen onder de NIS2-wetgving. De gemeente Heemskerk bevindt zich momenteel in de verkennende fase ten aanzien van de implementatie van de NIS2-richtlijn, de nieuwe Europese cyberbeveiligingswet die aanvullende eisen stelt aan digitale weerbaarheid en zorgplicht. In dit kader worden ook stappen gezet richting het BIO-normenkader, waarbij metingen worden uitgevoerd via Key2Control. De BIO2 is onderdeel van het normenkader dat bij de ENSIA controle wordt getoetst.

De gemeente wacht op verdere ondersteuning en richtlijnen vanuit de Informatiebeveiligingsdienst (IBD) en heeft reeds een brief van de VNG ontvangen waarin de verplichtingen en trainingsvereisten zijn toegelicht. Deze voorbereiding is essentieel om tijdig te voldoen aan de NIS2-verplichtingen, waaronder het aantoonbaar nemen van passende technische en organisatorische maatregelen.

IT-risicomanagement en BIO-naleving Binnen de gemeente Heemskerk is op dit moment geen formeel ITrisicomanagementbeleid vastgesteld en ontbreekt een recent uitgevoerde en goedgekeurde IT-risicoanalyse. Wel is een nulmeting gestart op basis van de BIO2-norm, uitgevoerd via Key2Control. Deze meting geeft inzicht in de mate van naleving van de normen en vormt de basis voor verbeterinitiatieven. Normen waaraan niet of slechts deels wordt voldaan, worden opgenomen in roadmaps en door de verantwoordelijke teams opgepakt. Leveranciersmanagement en systeemkoppelingen Er is momenteel geen beleid of overzicht beschikbaar met betrekking tot systeemkoppelingen met derde partijen. Dit vormt een risico voor de beheersbaarheid en beveiliging van externe verbindingen. De gemeente is voornemens om dit aspect te toetsen aan een normenkader via Key2Control. Wij adviseren om dit beleid zo spoedig mogelijk op te stellen en te implementeren, inclusief een actueel overzicht van alle koppelingen en bijbehorende risico’s. Toegangsbeveiliging Het beleid voor logisch en fysiek toegangsbeheer is nog in ontwikkeling. Wij adviseren om beide beleidstukken op korte termijn te formaliseren en te implementeren, zodat de toegang tot systemen en locaties adequaat wordt gereguleerd en beveiligd.

15 MANAGEMENT LETTER 2025 - GEMEENTE HEEMSKERK

3. Observaties en bevindingen interimcontrole 3.1 Onze werkzaamheden 3.2 Onze werkzaamheden bij de processen 3.3 Overzicht van onze bevindingen 3.4 Overzicht van onze bevindingen t.a.v. de processen 3.5 Overzicht van onze bevindingen t.a.v. de IT General Controls

16 MANAGEMENT LETTER 2025 - GEMEENTE HEEMSKERK

3.1 Onze werkzaamheden 1/3 Belangrijkste risico’s voor onze controle

Controleaanpak en doel van de interim-controle Het doel van de jaarrekeningcontrole is een oordeel tot uitdrukking brengen over de getrouwheid van de jaarrekening van gemeente Heemskerk. De controle heeft onder meer betrekking op het overwegen van de interne beheersing die voor het opstellen van de jaarrekening relevant is, teneinde controlewerkzaamheden op te zetten die in de gegeven omstandigheden passend zijn, maar niet met het doel een oordeel over de effectiviteit van de interne beheersing tot uitdrukking te brengen. Het gaat hierbij niet alleen over de kwaliteit van de accountantscontrole, maar ook over de wijze waarop gemeente Heemskerk hiervan kan profiteren. Op basis van onze bevindingen bij deze werkzaamheden, geven wij, in het kader van onze natuurlijke adviesfunctie, in deze managementletter aanbevelingen over de opzet van de administratieve organisatie en berichten wij u over vastgestelde tekortkomingen in de uitvoering daarvan en in hoeverre corrigerende maatregelen door management zijn genomen. De aangelegenheden waarover wij rapporteren betreffen die tekortkomingen die tijdens de controle zijn geïdentificeerd en waarbij wij van mening zijn dat deze voldoende belangrijk zijn om verslag van te doen.

Onze inschatting van de risico’s In het kader van de controle van de jaarrekening 2025 en onze aanpak hebben wij een zogenaamde initiële risico-inschatting gemaakt. Hierover hebben de directie, het college en de auditcommissie geïnformeerd via ons controleplan. Wij zien de volgende potentiële risico’s in de controle van de jaarrekening van Gemeente Heemskerk:  In onze controlestandaarden (NV COS) wordt expliciet het risico van management override (bewuste beïnvloeding door bestuur of management van de jaarcijfers) als belangrijk te onderkennen theoretisch risico benoemd. Als accountant moeten wij in onze werkzaamheden hier specifiek aandacht aan besteden. Wij zijn van mening dat de mogelijkheden, om buiten de getroffen interne beheersmaatregelen invloed uit te oefenen op de in de jaarrekening gepresenteerde uitkomsten, beperkt zijn. Om het resterende risico te beperken beoordelen wij schattingsprocessen en bijzondere journaalposten in detail.  Onrechtmatige bestedingen als gevolg van het onterecht wijzigen van crediteurenstamgegevens.

17 MANAGEMENT LETTER 2025 - GEMEENTE HEEMSKERK

3.1 Onze werkzaamheden 2/3 Belangrijkste risico’s voor onze controle

Onze bevindingen ten aanzien van fraude(risicobeheersing) en corruptie Bij de planning voor de jaarrekeningcontrole houden wij rekening met het risico dat de jaarrekening als gevolg van fraude en onregelmatigheden onjuistheden van materieel belang zou kunnen bevatten. Daarnaast hebben wij beoordeeld in hoeverre sprake kan zijn van een risico omtrent corruptie of een risico omtrent het nietnaleven van wet- en regelgeving. Eén van de door ons uitgevoerde maatregelen is het bespreken van de mogelijke frauderisico’s en mogelijke fraudesituaties op verschillende niveaus binnen de organisatie. Hiertoe hebben wij de mogelijke frauderisico’s en –situaties overwogen. Wij stelden vast dat u zelf een gedeeltelijke frauderisicoanalyse heeft uitgevoerd en een frauderesponsplan beschikbaar heeft. Wij adviseren u aandacht te besteden aan de verdere ontwikkeling van de frauderisicoanalyse.

ONZE BEVINDINGEN IN HET KADER VAN FRAUDE(RISICOBEHEERSING) EN CORRUPTIE Aandachtsgebieden

2025

2024

Evaluatie

Frauderisicoanalyse uitgevoerd





Gemeente Heemskerk heeft een frauderisicoanalyse voorbereid. Wij adviseren om de uitkomst te verwerken in het verbijzonderde interne controleplan. Door het (periodiek) agenderen van de uitkomsten van de frauderisicoanalyse bij zowel directie, college als auditcommissie kunnen de juiste dialogen gevoerd worden. Dialogen over specifieke risico’s, over mitigerende maatregelen en over de risicobereidheid.

Gedragscode, klokkenluidersregeling en incidentenregistratie





Bij de gemeente Heemskerk is een gedragscode voor de raad, gedragscode voor de burgermeester & wethouders, een regeling vermoeden van misstanden.

Frauderesponsplan





De gemeente Heemskerk heeft per 2025 frauderesponsplan. Een dergelijk plan helpt de organisatie en medewerkers om buiten een crisissituatie te bepalen wie bij een incident in actie moet komen.

Informatiebeveiliging & privacy





De gemeente Heemskerk heeft een privacybeleid, een gedragscode en een regeling vermoeden misstanden

 Onvoldoende  Voldoende met verbeterpunten

 Voldoende

 Geen waarneming

 Niet onderzocht

18 MANAGEMENT LETTER 2025 - GEMEENTE HEEMSKERK

3.1 Onze werkzaamheden 3/3 Belangrijkste risico’s voor onze controle Risicoanalyse Bij de beoordeling van het risico omtrent corruptie hebben wij gekeken naar opdracht specifieke omstandigheden, zoals de geografische plaats van de activiteiten, de sectoren waar corruptie meer dan gemiddeld voorkomt en hebben we beoordeeld in hoeverre wetgeving van invloed kan zijn. De belangrijkste risico’s zijn hieronder weergegeven. Per onderwerp zullen wij voortaan, in alle gevallen, rapporteren in onze controleverklaring over wat de meest belangrijke frauderisico’s zijn, over de inschatting van het college om de risico’s vanuit de bedrijfsvoering financieel op te vangen en hoe op beide thema’s in de controle is ingespeeld.

ONZE BEVINDINGEN IN HET KADER VAN FRAUDE(RISICOBEHEERSING) EN CORRUPTIE Aandachtsgebied

Risico-inschatting

Komt terug in onze controleverklaring

Controleaanpak op hoofdlijnen

• Management override

Significant en fraude-element

Ja

Ongeautoriseerde wijziging van crediteurenstamgegevens

Significant en fraude-element

Ja

• • • •

Test de werking van controls over journaalposten, gegevensgerichte beoordeling van memoriaalboekingen en post closing boekingen. Beoordeling van (het geheel van) schattingen. Beoordeling van de geschiktheid van boekingen voor belangrijke transacties die buiten de normale bedrijfsuitvoering van het onderdeel liggen of anderszins ongebruikelijk zijn. Overzicht met gewijzigde IBAN-nummers in het boekjaar; Controle op IBAN-nummers gewijzigde crediteuren.

19 MANAGEMENT LETTER 2025 - GEMEENTE HEEMSKERK

3.2 Onze werkzaamheden bij de processen

Belangrijkste processen Aan de navolgende processen hebben wij specifiek aandacht geschonken tijdens onze interim-controle: 

Bedrijfsvoering • Planning-en-control • Inkoop en betalingsorganisatie • Aanbestedingen (inclusief rechtmatigheidsverantwoording) • Personeel • Verbijzonderde Interne controle



Sociaal • Participatiewet • Jeugdzorg • Subsidieverstrekking • Wet maatschappelijke ondersteuning



Ruimtelijk domein • Riool- en afvalstoffenheffing • Grondexploitaties

Voor elk proces beoordelen wij, voor zover relevant, de volgende onderdelen: AO/IB: Is sprake van een actuele en toereikende procesbeschrijving met voldoende beheersmaatregelen?  IT-maatregelen: Zijn in en rondom het systeem voldoende waarborgen getroffen ten aanzien van de betrouwbaarheid van de gegevensverwerking?  VIC: Heeft de VIC de interne beheersmaatregelen getoetst en kunnen wij daar gebruik van maken? 

Een totaaloverzicht van de effectiviteit van de processen is opgenomen in hoofdstuk 3.3. De processen waar een significant (fraude)risico mee gemoeid is dan wel waar (significante) bevindingen zijn geconstateerd tijdens onze werkzaamheden zijn vervolgens nader uitgewerkt. In onze aanpak is de insteek, daar waar mogelijk te steunen op de interne beheersing in de significante processen van de gemeente Heemskerk. Dit noemen wij een zogenaamde systeemgerichte aanpak, waarbij wij kunnen steunen op toereikende maatregelen in uw processen en systemen. Daarbij maken wij, indien mogelijk, gebruik van uw eigen verbijzonderde interne controle (VIC). In het kader van onze controle hebben wij de processen beoordeeld, zoals opgenomen op pagina ‘overzicht bevindingen t.a.v. processen’. De gemeente heeft meerdere processen met financiële gevolgen. Voor de accountantscontrole zijn alleen de processen met de grootste risico’s dan wel met specifieke aandacht vanuit de gemeenteraad beoordeeld. De specifieke aandachtspunten vanuit de gemeenteraad zien ten dele toe op werkzaamheden die wij uitvoeren bij de eindejaarscontrole.

20 MANAGEMENT LETTER 2025 - GEMEENTE HEEMSKERK

Totaaloverzicht processen OVERZICHT DETAILBEVINDINGEN

hoog 

3.3 Overzicht van onze bevindingen (1/2) A6

A2 A3 A4 A5 A6 A7 A8 A9

Planning & Control: procesbeschrijvingen uitschrijven als uitgangspunt beheersing proces. Planning & control: Ontbreken van koppeling tussen het financieel systeem (ERPx) en Rapportagetool (LIAS) Planning & control: er is geen tussentijdse monitoring op de afloop van tussenrekeningen Inkoop & betaling: er is geen afdwingbare preventieve controle op gewijzigde crediteurenstamgegevens Inkoop & betaling: naleving van beleid en zichtbaar maken van controle op prestatielevering

A9 A5 A2 A8

Inkoop & betaling: Periodieke review betaalbevoegdheden Rabobank Inkoop & aanbesteding: naleving van verwerking van contracten in het contractenregister. Sociaal domein: beleid nader uitwerken voor controle op prestatielevering niet lumpsum-vergoedingen jeugdzorg en wmo hulp bij huishouden. Sociaal domein (WMO & Jeugdzorg): inrichten 4-ogenprincipe in het systeem bij wijziging crediteurenstamgegevens.

Op de volgende pagina is een nadere toelichting opgenomen op de status van de bevindingen. In het afgelopen boekjaar heeft de gemeente op meerdere punten aantoonbare stappen gezet om verbeteringen door te voeren. Deze opvolging heeft echter nog niet geleid tot volledige oplossing van de betreffende punten. Er wordt actief gewerkt aan deze punten, waardoor het mogelijk is dat zij in het volgende verslagjaar komen te vervallen.

A3

A4 IMPACT

A1

Detailbevindingen processen

A7

A1

 laag

A

 laag

KANS

hoog 

Hierboven is een grafische weergave opgenomen van onze visie op de mate van kans en impact van de geconstateerde bevindingen in relatie tot de maatregelen van interne beheersing in de relevante processen. Voor de bevindingen die zowel een hoge kans als impact hebben adviseren wij u deze zo spoedig mogelijk te adresseren.

21 MANAGEMENT LETTER 2025 – GEMEENTE HEEMSKERK

3.3 Overzicht van onze bevindingen (2/2) In 2025 heeft de gemeente diverse maatregelen getroffen naar aanleiding van eerder geconstateerde detailbevindingen. Onderstaand overzicht geeft inzicht in de getroffen acties per bevinding zoals opgenomen op de voorgaande pagina. Deze maatregelen tonen aan dat er binnen de organisatie concrete stappen zijn gezet om de opvolging van detailbevindingen te verbeteren. DETAILBEVINDINGEN DIE ONDERHANDEN ZIJNONDERHANDEN

GETROFFEN MAATREGEL

A1 Planning & Control: procesbeschrijvingen uitschrijven als uitgangspunt beheersing proces.

De gemeente is met behulp van het programma ‘Engage’ bezig met het documenteren van de procesbeschrijvingen. De gemeente heeft het beleid geformuleerd en gedurende het jaar het beleid uitgerold in het werkproces. Steeds meer inkopen worden conform beleid in het autorisatieproces voorzien van prestatieleveringsdocumentatie. Wijzigingen in crediteurenstamgegevens en toepassing 4-ogenprincipe. Het systeem dwingt het 4-ogenprincipe bij het wijzigen van crediteurenstamgegevens momenteel niet af. De VIC heeft via Key2Control interne beheersingsmaatregelen ingericht, waardoor aantoonbaar kan worden gemaakt dat het 4-ogenprincipe in de praktijk wordt toegepast. Deze controle is repressief van aard: het betreft een toets achteraf. In theorie blijft het mogelijk dat het 4-ogenprincipe wordt doorbroken, omdat er geen preventieve interne beheersingsmaatregel aanwezig is die het risico vooraf uitsluit. Alle contracten worden inmiddels centraal beheerd. Ten opzichte van voorgaande jaren heeft de gemeente aanzienlijk beter inzicht in de contracten en het verloop van de contractafspraken. Hoewel nog niet alle contracten volledig zijn opgenomen in het register, is de gemeente actief bezig dit verder te completeren en houdt zij hier scherp toezicht op.

A5 Inkoop & betaling: naleving van beleid en zichtbaar maken van controle op prestatielevering.

A4 Inkoop & betaling: er is geen afdwingbare preventieve controle op gewijzigde crediteurenstamgegevens.

A7 Inkoop & aanbesteding: naleving van verwerking van contracten in het contractenregister.

A3 Planning & Control: er is geen tussentijdse monitoring op de afloop van tussenrekeningen

Daarnaast is het inkoopproces verder geprofessionaliseerd. De gemeente werkt steeds meer met inkoopformulieren, waarbij inkopers in toenemende mate advies inwinnen bij de afdeling Inkoopadvies. Dit draagt bij aan een correct verloop van het inkoopproces en ondersteunt het streven naar een volledig en actueel contractenregister. De gemeente heeft gedeeltelijk opvolging gegeven aan de eerder opgenomen bevinding. Momenteel worden tussenrekeningen bij de jaarafsluiting gemonitord. Dit is een stap in de goede richting, maar tussentijdse monitoring ontbreekt nog.

22 MANAGEMENT LETTER 2025 - GEMEENTE HEEMSKERK

3.4 Overzicht van onze bevindingen t.a.v. de processen In het volgende overzicht geven wij weer in hoeverre de processen voldoen aan de genoemde normen (zie ook hoofdstuk 3.5 t.a.v. ICT). Processen

Samenvatting effectiviteit van de processen In het volgende overzicht geven wij weer in hoeverre de processen voldoen aan de genoemde normen (zie ook hoofdstuk 3.5 ten aanzien van ICT). Op basis van onze uitgevoerde werkzaamheden komen wij op dit moment tot de conclusie dat de beheersorganisatie van de gemeente (voor zover relevant voor de controle van de jaarrekening) in opzet voldoende tot goed scoort, rekening houdend met de uitkomsten van de werkzaamheden van de VIC. Omdat de AO/IB niet altijd goed is opgezet of goed werkt, kunnen wij voor wat betreft de insteek van onze controle nog niet altijd op de processen steunen. Vanuit de managementletter 2024 hebben we in de kolom “t.o.v. 2024” een ontwikkeling opgenomen. De pijltjes weergeven in hoeverre de kwaliteit van interne beheersing in het proces zich heeft ontwikkeld. Vanuit een risicobenadering hebben wij de applicaties ERPx en Suite4SociaalDomein meegenomen in de IT audit. Onze controle is vanuit efficiëntie-overwegingen gegevensgericht. De aanknopingspunten voor het verbeteren van de beheersing van de processen zijn opgenomen op de volgende pagina en in hoofdstuk 1 en 2 met de belangrijkste bevindingen en ontwikkelingen.

 Onvoldoende

 Voldoende met verbeterpunten

 Voldoende

Opzet/ bestaan 2025

Impact IT

VIC

Ontwikkeling t.o.v. 2024

Planning & Control









Inkopen en betalingen







↑

Aanbestedingen









Personeel









WMO









Jeugdzorg









Participatiewet









Subsidieverstrekking









Belastingen









Grondexploitaties









 Geen waarneming

 Niet onderzocht

↑ Vooruitgang beheersing  beheersing gelijk

23 MANAGEMENT LETTER 2025 - GEMEENTE HEEMSKERK

3.5 Overzicht van onze bevindingen t.a.v. de IT General Controls

IT-audit algemeen In het kader van de jaarrekeningcontrole is een IT-audit uitgevoerd. De IT-audit is primair gericht op de betrouwbaarheid van de gegevensverwerking ten behoeve van de totstandkoming van de jaarrekening. Dit betekent dat de IT-audit zich niet primair richt op het doen van uitspraken omtrent de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking als geheel of van onderdelen daarvan. In 2025 is de gemeente gestart met het zelfstandig uitvoeren van IT-controls. Het doel is dat deze werkzaamheden worden gereviewd door de IT-auditor van BDO, zodat de kwaliteit en betrouwbaarheid van de controles gewaarborgd blijven. Deze stap draagt bij aan het vergroten van het bewustzijn binnen de organisatie over het belang van IT-beveiliging en risicobeheersing. Het inzicht in de gebruikte IT-applicaties en ondersteunende IT-infrastructuur, vormt een belangrijk onderdeel van de beoordeling van de interne beheersing. Algemene IT-beheersingsmaatregelen (hierna: IT General Controls) rond de ITprocessen dragen bij aan het mitigeren van de risico’s die voortkomen uit het gebruik van IT - zoals onbeheerste wijzigingen, ongeautoriseerde handelingen en verstoringen in de gegevensverwerking. De scope van relevante IT General Controls wordt jaarlijks beoordeeld en kan daardoor afwijken van voorgaande jaren.

De beoordeling van de geautomatiseerde gegevensverwerking vindt uitsluitend plaats in het kader van de jaarrekeningcontrole, conform artikel 2:393 lid 4 BW, waarin is opgenomen dat de accountant aandacht dient te besteden aan de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Wij hebben de automatiserings-organisatie uitsluitend in het kader van de jaarrekeningcontrole beoordeeld.

Bevindingen IT General Controls Hierna zijn de bevindingen opgenomen met betrekking tot de opzet en het bestaan van de door ons in het kader van de jaarrekeningcontrole onderzochte IT General Controls. Per bevinding is de status in het huidige jaar en in het voorgaande jaar aangegeven met betrekking tot de onderzochte IT-applicaties, zijnde ERPx en Suite4SociaalDomein, en de hieraan gerelateerde ITinfrastructuur voor zover relevant voor de jaarrekeningcontrole. Onze relevante bevindingen en overige IT-gerelateerde bevindingen treft u op de volgende pagina’s aan. De scope van relevante IT General Controls wordt jaarlijks beoordeeld en kan hierdoor afwijken van de scope van voorgaande jaren.

24 MANAGEMENT LETTER 2025 – <Gemeente Heemskerk>

3.5 Overzicht van onze bevindingen t.a.v. de IT General Controls Per applicatie OVERZICHT EN EVALUATIE VAN ITGC - PER APPLICATIE

Suite 4 Sociaal Domein

Logische toegangsbeveiliging

2024

2025

LT.1 - Procedure autorisatiebeheer





LT.2 - Periodieke controle op toegang en juistheid ingerichte autorisaties





Een periodieke controle op juistheid van ingerichte autorisaties wordt niet uitgevoerd. Ook ontbreekt een formeel kader voor functiescheiding, waardoor autorisaties niet worden getoetst. Gemeente Heemskerk is voornemens dit op te pakken.

LT.3 - Identificatie van gebruikers voor toegang tot applicaties





Het aantal generieke accounts in de applicatie is verklaarbaar vanuit beheeroogpunt.

LT.4 – Authenticatie





Het inloggen op de applicatie verloopt middels Single Sign-On, derhalve hebben wij de wachtwoordinstellingen van deze applicatie beoordeeld en vastgesteld dat de wachtwoordinstellingen voldoen aan de daaraan te stellen eisen.

LT.5 - Administrator- en superuser-accounts





Beheerrechten zijn toegekend aan onder andere één medewerker die actief is in de lijnorganisatie binnen Suite4SociaalDomein. Dit is een bewust keuze van gemeente Heemskerk maar behoeft aanscherping.

Uitbestede beheersingsmaatregelen



Uitbestede beheersingsmaatregelen



Suite4SociaalDomein betreft een SaaS-applicatie. Beheersingsmaatregelen rondom wijzigingsbeheer en continuïteit van de applicatie zijn derhalve uitbesteedt aan de serviceorganisatie Centric. Wij hebben vastgesteld dat de leverancier een assurance-verklaring verstrekt om inzicht te krijgen in de getroffen maatregelen. Gemeente Heemskerk heeft nog geen proces ingericht om deze verklaring periodiek op te vragen en zichtbaar te beoordelen. Ten aanzien van het wijzigingsbeheer merken wij op dat gemeente Heemskerk zelf voldoende maatregelen heeft getroffen om dit risico te mitigeren. Voor continuïteit hebben wij geen inzicht in de getroffen maatregelen gekregen.

De impact van deze bevindingen ten aanzien van de applicaties op de processen zijn meegenomen in hoofdstuk 3.4.

 onvoldoende  Voldoende met verbeterpunten  voldoende

 geen waarneming

 niet onderzocht

25 MANAGEMENT LETTER 2025 – <Gemeente Heemskerk>

3.5 Detailbevindingen IT General Control Suite 4 Sociaal Domein #

PRIORITEIT

BEVINDING - INCL. RISICO

AANBEVELING

1

Midden

Voor Suite 4 Sociaal Domein is vastgesteld dat de halfjaarlijkse review zich beperkt tot het controleren van de actualiteit van gebruikersaccounts. Er vindt geen zichtbare toetsing plaats van de toegekende autorisaties ten opzichte van de autorisatiematrix.

Hoewel de Gemeente Heemskerk een halfjaarlijkse review uitvoert op de actualiteit van gebruikers, adviseren wij om deze review uit te breiden met een structurele toetsing van de toegekende autorisaties ten opzichte van een vooraf gedefinieerde autorisatiematrix.

Doordat er geen toetsing heeft plaatsgevonden op de ingerichte autorisaties, bestaat het risico dat medewerkers meer rechten hebben dan noodzakelijk. Dit kan leiden tot doorbreking van functiescheiding en het onopgemerkt blijven van fouten in autorisatietoekenning, met mogelijke ongewenste mutaties en integriteitsrisico’s als gevolg.

Het doel van deze review is om vast te stellen of gebruikers niet meer rechten of rollen hebben gekregen dan noodzakelijk is voor hun functie, en om eventuele afwijkingen ten opzichte van de gewenste functiescheiding tijdig te signaleren en te corrigeren.

Vastgesteld dat gebruikers momenteel middels een generiek account toegang tot de database van Suite4SociaalDomein kunnen krijgen. Zij hebben deze toegang nodig voor het uitvoeren van hun werkzaamheden.

Wij adviseren het aantal accounts met toegang tot de database in te perken tot een strikt noodzakelijk groep van medewerkers, werkzaam op de IT afdeling, voor beheer van het systeem. Toegang dient middels persoonsgebonden accounts te lopen zodat doorgevoerde wijzigingen achteraf te herleiden zijn naar een uniek persoon.

2

Hoog

Wij hebben vastgesteld dat de wachtwoordvereisten welke worden afgedwongen om toegang tot de database te krijgen onvoldoende streng zijn ingericht. Als gevolg van te ruime toegang en beperkte wachtwoordvereisten bestaat het risico dat onbevoegden bij de database kunnen komen en hier ongeautoriseerde handelingen in verrichten.

Door deze periodieke toetsing structureel in te bedden in het autorisatiebeheerproces, wordt geborgd dat de ingerichte autorisaties blijven aansluiten bij de actuele verantwoordelijkheden van gebruikers en de interne beheersingsdoelstellingen van de Gemeente Heemskerk.

Tevens adviseren wij technisch af te dwingen dat enkel met sterke wachtwoorden toegang tot de database kan worden verkregen.

26 MANAGEMENT LETTER 2025 – <GEMEENTE HEEMSKERK>

3.5 Overzicht van onze bevindingen t.a.v. de IT General Controls Per applicatie

OVERZICHT EN EVALUATIE VAN ITGC - PER APPLICATIE

ERPx

Logische toegangsbeveiliging

2024

2025

LT.1 - Procedure autorisatiebeheer









LT.3 - Identificatie van gebruikers voor toegang tot applicaties





LT.4 – Authenticatie









LT.2 - Periodieke controle op toegang en juistheid ingerichte autorisaties

LT.5 - Administrator- en superuser-accounts

Een periodieke controle op de actualiteit van gebruikersaccounts en juistheid van ingerichte autorisaties wordt niet uitgevoerd. Ook ontbreekt een geformaliseerde autorisatiematrix, waardoor autorisaties niet worden getoetst. Gemeente Heemskerk is voornemens dit op te pakken.

Het inloggen op de applicatie verloopt middels Single Sign-On, derhalve hebben wij de wachtwoordinstellingen van deze applicatie beoordeeld en vastgesteld dat de wachtwoordinstellingen voldoen aan de daaraan te stellen eisen.

Uitbestede beheersingsmaatregelen

Uitbestede beheersingsmaatregelen





Unit4 ERPx betreft een SaaS-applicatie. Beheersingsmaatregelen rondom wijzigingsbeheer en continuïteit van de applicatie zijn derhalve uitbesteedt aan de leverancier. Wij hebben vastgesteld dat de leverancier een assurance-verklaring verstrekt om inzicht te krijgen in de getroffen maatregelen. Gemeente Heemskerk heeft nog geen proces ingericht om deze verklaring periodiek op te vragen en zichtbaar te beoordelen.

De impact van deze bevindingen ten aanzien van de applicaties op de processen zijn meegenomen in hoofdstuk 3.4.

 onvoldoende  Voldoende met verbeterpunten  voldoende

 geen waarneming

 niet onderzocht

27 MANAGEMENT LETTER 2025 – <GEMEENTE HEEMSKERK>

3.5 Overzicht van onze bevindingen t.a.v. de IT General Controls

OVERZICHT EN EVALUATIE VAN ITGC

Operating System

Operating Systems

2024

2025

OS.2 – Authenticatie





OS.3 – Toegang met hoge privileges





De authenticatievereisten voor zowel het lokale Active Directory als Azure Active Directory zijn adequaat ingericht. Multi-Factor Authenticatie (MFA) wordt standaard afgedwongen voor alle gebruikersaccounts, wat bijdraagt aan een versterkte toegangsbeveiliging. Binnen het lokale Active Directory hebben wij vastgesteld dat admin-rechten zijn beperkt tot daartoe bevoegde functionarissen, zoals systeembeheerder en medewerkers van de IT-helpdesk.

De impact van deze bevindingen ten aanzien van de applicaties op de processen zijn meegenomen in hoofdstuk 3.4.

 onvoldoende  Voldoende met verbeterpunten  voldoende

 geen waarneming

 niet onderzocht

28 MANAGEMENT LETTER 2025 – GEMEENTE HEEMSKERK

3.4 Detailbevindingen IT General Controls ERPx #

PRIORITEIT

BEVINDING - INCL. RISICO

AANBEVELING

1

Midden

Periodieke review Een periodieke controle op actualiteit van gebruikersaccounts en juistheid van ingerichte autorisaties wordt niet uitgevoerd. Ook ontbreekt een formeel kader voor functiescheiding, waardoor autorisaties niet worden getoetst. Gemeente Heemskerk is voornemens dit op te pakken.

Wij adviseren een formele autorisatiematrix op te stellen waarin de principes van functiescheiding en toegangsbeheer zijn vastgelegd. Deze matrix dient door het management te worden goedgekeurd en als normpositie te fungeren voor het beoordelen van autorisaties. Op basis hiervan kan minimaal jaarlijks een controle worden uitgevoerd op de actualiteit van gebruikersaccounts en de juistheid van toegekende autorisaties, zodat ongewenste of onjuiste toegang tijdig wordt gesignaleerd en gecorrigeerd.

Als gevolg van bovenstaande tekortkoming bestaat het risico dat medewerkers over te ruime autorisaties beschikken en vereisten ten aanzien van functiescheiding doorbroken kunnen worden. Daarnaast bestaat het risico door niet periodiek controleren van autorisaties dat medewerkers toegang tot de applicatie behouden terwijl zij dit niet langer nodig hebben.

2

Laag

Uitbesteedde beheersmaatregelen ERPx betreft een SaaS-applicatie. Een deel van de verantwoordelijkheden ten aanzien van wijzigingsbeheer en continuïteit valt daarmee onder verantwoordelijkheid van de leverancier Unit4, zij verstrekt een assurance rapport om hier inzicht in te verschaffen. De gemeente heeft nog geen proces ingericht voor het opvragen en beoordelen van deze rapportage.

Wij adviseren gemeente Heemskerk om jaarlijkse een analyse op de ITleveranciers uit te voeren. Op basis van een risicoanalyse op uitbestede ITdiensten kan worden bepaald hoe de risico’s die de uitbesteding van IT met zich meebrengt door de softwareleveranciers worden afgedekt, en in hoeverre contractuele afspraken worden nagekomen. Hierbij behoort ten minste het jaarlijkse opvragen en zichtbaar beoordelen van de assurance-verklaring(en).

Als gevolgd hiervan bestaat het risico dat de organisatie mogelijk onvoldoende op de hoogte is of beheersingsmaatregelen ingericht bij de leverancier voldoende aansluiten bij haar eigen wensen, en of zij voldoende invulling geeft aan verantwoordelijkheden die vanuit de leverancier aan de gemeente worden toegeschreven.

Wij hebben begrepen dat de gemeente de intentie heeft om een project op te starten om het beoordelen van leveranciers, op onderdelen zoals prestatiemanagement en certificeringen, te beleggen bij de functionele beheerders. Wij onderschrijven deze ontwikkeling.

2 9

MANAGEMENT LETTER 2025 – GEMEENTE HEEMSKERK

3.4 Detailbevindingen IT General Controls Suite4SociaalDomein #

PRIORITEIT

BEVINDING - INCL. RISICO

AANBEVELING

1

Midden

Periodieke review Een periodieke controle op juistheid van ingerichte autorisaties wordt niet uitgevoerd. Ook ontbreekt een formeel kader voor functiescheiding, waardoor autorisaties niet worden getoetst. Gemeente Heemskerk is voornemens dit op te pakken.

Wij adviseren een formele autorisatiematrix op te stellen waarin de principes van functiescheiding en toegangsbeheer zijn vastgelegd. Deze matrix dient door het management te worden goedgekeurd en als normpositie te fungeren voor het beoordelen van autorisaties. Op basis hiervan kan periodiek (minimaal jaarlijks) een beoordeling plaatsvinden toegekende autorisaties aan gebruikers. Dit stelt de organisatie in staat om vast te stellen of de autorisaties nog passend zijn en de onjuiste toegang tijdig te signaleren en corrigeren.

Als gevolg van bovenstaande tekortkoming bestaat het risico dat medewerkers over te ruime autorisaties beschikken en vereisten ten aanzien van functiescheiding doorbroken kunnen worden.

2

Hoog

Administrator- en superuser-accounts Binnen Suite4SociaalDomein zijn beheerrechten toegekend aan onder andere een medewerker die actief is binnen de lijnorganisatie. Hoewel dit een bewuste keuze is van gemeente Heemskerk, achten wij deze inrichting kwetsbaar en toe aan aanscherping. Het toekennen van beheerrechten aan functionarissen binnen de lijnorganisatie vergroot het risico op belangenverstrengeling en ongeautoriseerde wijzigingen. Doordat dit account beschikt over uitgebreide bevoegdheden, kan dit leiden tot doorbreking van functiescheiding en verminderde controle op de integriteit van gegevens van processen.

Wij adviseren de toekenning van beheerrechten te herzien en deze zoveel mogelijk te beperken. Beheerrechten dienen uitsluitend te worden toegekend aan functionarissen buiten de lijnorganisatie, bij voorkeur binnen de onafhankelijke IT- of beheerfunctie. Daarnaast adviseren wij om een duidelijke functiescheiding aan te brengen tussen het gebruik en het beheer van applicaties. Kritische beheeractiviteiten, zoals het aanmaken, wijzigingen of verwijderen van gebruikers en rechten, het aanpassen van systeeminstellingen dienen centraal belegd te worden bij de IT-afdeling. Dit draagt bij aan een versterkte functiescheiding en verhoogd de betrouwbaarheid en veiligheid van het applicatiebeheer.

3 0

MANAGEMENT LETTER 2025 – GEMEENTE HEEMSKERK

3.4 Detailbevindingen IT General Controls Suite4SociaalDomein #

PRIORITEIT

BEVINDING - INCL. RISICO

AANBEVELING

3

Midden

Uitbesteedde beheersmaatregelen Suite4SociaalDomein betreft een SaaS-applicatie. Beheersingsmaatregelen rondom wijzigingsbeheer en continuïteit van de applicatie zijn derhalve uitbesteedt aan de serviceorganisatie Centric. Wij hebben vastgesteld dat de leverancier een assurance-verklaring verstrekt om inzicht te krijgen in de getroffen maatregelen. Gemeente Heemskerk heeft nog geen proces ingericht om deze verklaring periodiek op te vragen en zichtbaar te beoordelen.

Wij adviseren gemeente Heemskerk om jaarlijkse een analyse op de ITleveranciers uit te voeren. Op basis van een risicoanalyse op uitbestede ITdiensten kan worden bepaald hoe de risico’s die de uitbesteding van IT met zich meebrengt door de softwareleveranciers worden afgedekt, en in hoeverre contractuele afspraken worden nagekomen. Hierbij behoort ten minste het jaarlijkse opvragen en zichtbaar beoordelen van de assuranceverklaring(en); of de maatregelen van de leverancier voldoen aan de daaraan te stellen eisen.

Als gevolgd hiervan bestaat het risico dat de organisatie mogelijk onvoldoende op de hoogte is of beheersingsmaatregelen ingericht bij de leverancier voldoende aansluiten bij haar eigen wensen, en of zij voldoende invulling geeft aan verantwoordelijkheden die vanuit de leverancier aan de gemeente worden toegeschreven.

Wij hebben begrepen dat de gemeente de intentie heeft om een project op te starten om het beoordelen van leveranciers, op onderdelen zoals prestatiemanagement en certificeringen, te beleggen bij de functionele beheerders. Wij onderschrijven deze ontwikkeling.